Betalen met je gezicht: wat er verandert als jij de sleutel bent

Het is verleidelijk dit als productnieuws te lezen. Dat is het niet. Een gezicht dat wordt gebruikt om een bepaalde persoon te herkennen is geen foto: het is een biometrisch gegeven met het oog op de unieke identificatie van een natuurlijke persoon, en de AVG plaatst het bij de bijzondere categorieën van artikel 9, lid 1. Praktisch gevolg: een grondslag uit artikel 6 volstaat niet, er is ook een voorwaarde uit artikel 9, lid 2, nodig, en in de detailhandel is er realistisch gezien maar één beschikbaar, de uitdrukkelijke toestemming van punt a.

Daarmee komt de echte vraag, die niet over Revolut gaat maar over iedereen die het model wil kopiëren. Toestemming telt als zij vrij is, en vrij betekent dat wie nee zegt niets verliest. Zolang er naast de biometrische kassa een gewone kassa staat, houdt de voorwaarde stand. Zodra het gezicht de enige manier van betalen wordt, of de manier die de rij overslaat terwijl de andere dat niet doet, houdt toestemming op een rechtsgrond te zijn en wordt zij een onder druk verzamelde formaliteit.

• Een gecompromitteerde identificator verander je niet. Een kaart blokkeer je, een wachtwoord herschrijf je, een gezicht niet. Daarom behandelt artikel 9 deze gegevens anders, en dat is geen overdreven voorzichtigheid.
• De effectbeoordeling is niet facultatief: grootschalige verwerking van bijzondere categorieën, artikel 35, lid 3, onder b.
• Intrekken moet even makkelijk zijn als aanmelden, en de intrekking moet een controleerbaar effect hebben, niet alleen een vinkje dat van stand verandert.
• Er moet altijd een echt alternatief zijn tegen dezelfde prijs en met hetzelfde gemak, anders is de toestemming niet vrij.

Voor de FG van een winkel aan wie zo'n systeem wordt aangeboden is de eerste vraag aan de leverancier wie wat beslist. Stelt de leverancier doel en middelen vast en beperkt de winkel zich tot het herbergen van de terminal, dan is de winkel niet de verwerkingsverantwoordelijke van die verwerking; maar zij blijft verantwoordelijk voor de keuze om hem in haar pand te plaatsen, en zij moet wie binnenkomt informeren, het alternatief waarborgen en weten waar de beelden belanden. «Wij bewaren de gegevens niet» is een antwoord op het waar, niet op het wie, en die twee worden voortdurend verward.

Aan Europese kant tellen de kaders bij elkaar op, zij vervangen elkaar niet. De AI-verordening verbiedt de een-op-eenverificatie met toestemming van de betrokkene niet — het verbod betreft biometrische identificatie op afstand in real time in openbare ruimten voor rechtshandhaving — maar plaatst biometrische systemen toch bij de gereguleerde, met eigen verplichtingen die bij de AVG komen en haar niet opslokken. Vergelijkbare proeven waren er al in de Unie: Mastercard en PayEye testten biometrisch betalen in juni 2024 in vijf Empik-winkels in Polen.

Wat er concreet overblijft. Vraagt een klant om een oordeel over een kassa die gezichten herkent, dan moeten vóór al het andere vier dingen op papier staan: de voorwaarde van artikel 9, lid 2, waarop men steunt; de effectbeoordeling, vóór en niet ná de installatie; de afzonderlijke bewaartermijnen van het biometrische sjabloon en van elk als terugval bewaard beeld; en het niet-biometrische alternatief, zo beschreven dat zichtbaar is dat niemand er slechter van wordt door het te kiezen. Zonder die vier beschrijft de mooiste verklaring ter wereld een verwerking zonder stevige grondslag.